通过事件查看器、命令提示符和PowerShell可查询Windows 8.1开关机记录：1. 使用事件查看器筛选事件ID 6005（开机）和6006（关机）；2. 通过wevtutil命令导出最近开关机日志；3. 利用PowerShell脚本获取结构化时间序列并导出CSV文件。
如果您想了解电脑在何时被开启或关闭，可以通过系统日志来获取这些信息。Windows 8 系统提供了内置工具用于追踪此类事件，帮助用户分析设备的使用情况或排查异常重启问题。
本文运行环境：Dell XPS 13，Windows 8.1
一、使用事件查看器查看开关机日志
事件查看器是Windows系统自带的日志管理工具，能够记录包括系统启动、关机在内的关键事件。通过筛选特定的事件ID，可以快速定位开关机时间点。
1、按下 Win + R 组合键打开“运行”窗口。
2、输入 eventvwr.msc 后按回车，启动事件查看器。
3、在左侧导航栏中，依次展开“Windows 日志”，然后点击“系统”。
4、在中间的日志列表中，右侧操作面板点击“筛选当前日志”。
5、在弹出的窗口中，于“事件ID”输入框内输入 6006,6005,7000，其中6005和6006分别代表系统开始关机和关机完成，可辅助判断开机时间。
6、点击“确定”后，日志列表将只显示与开关机相关的记录，双击任意条目可查看详细时间戳。
二、通过命令提示符快速导出日志
对于习惯使用命令行的用户，可以通过wevtutil命令直接提取系统日志中的开关机事件，适合批量处理或脚本化操作。
1、右键点击“开始”按钮，选择“命令提示符（管理员）”以提升权限。
2、输入以下命令并按回车执行：wevtutil qe System /q:"*[System[(EventID=6005 or EventID=6006)]]" /f:text /c:20，该命令将列出最近20条开关机记录。
3、若需保存到文件，可追加重定向参数，例如：wevtutil qe System /q:"*[System[(EventID=6005 or EventID=6006)]]" /f:text > C:\boot_shutdown.log，日志将保存至C盘根目录。
三、利用PowerShell脚本分析历史记录
PowerShell提供更强大的筛选和格式化功能，适合对日志进行结构化分析，能清晰输出开机与关机的时间序列。
1、在开始屏幕搜索“PowerShell”，右键选择“以管理员身份运行”。
2、输入以下命令并回车：Get-WinEvent -LogName System | Where-Object {$_.Id -eq 6005 -or $_.Id -eq 6006} | Select TimeCreated, Id, Message。
3、系统将按时间倒序列出所有相关事件，6005表示开机，6006表示关机，消息内容包含具体时间信息。
4、如需导出为CSV文件便于后续查看，可使用管道命令：| Export-Csv C:\power_events.csv -NoTypeInformation 追加至上述命令末尾。
